TIP1-A_4277 - VPN-Zugangsdienst, Physische Trennung der VPN-Konzentratoren

Der Anbieter des VPN-Zugangsdienstes MUSS zwischen den VPN-Konzentratoren, welche für den Zugang zur TI verwendet werden, und den VPN-Konzentratoren für den Zugang zum SIS eine physische Trennung der Hardware gewährleisten.

TIP1-A_4278 - VPN-Zugangsdienst, Geografische Verteilung der VPN-Konzentratoren

Der Anbieter des VPN-Zugangsdienstes MUSS die Standorte seiner VPN-Konzentratoren geografisch in seinem Einzugsgebiet verteilen, so dass die durchschnittliche Distanz und Laufzeit von den Netzen der berechtigten Teilnehmer zu den VPN-Konzentratoren optimiert wird.
[<=]

TIP1-A_4279 - VPN-Zugangsdienst, Mindestanzahl Standorte VPN-Konzentrator

Der Anbieter des VPN-Zugangsdienstes MUSS VPN-Konzentratoren an mindestens zwei geografisch getrennten Standorten betreiben.

TIP1-A_5418 - VPN-Zugangsdienst, Standorte VPN-Konzentrator RU und TU

Der Anbieter des VPN-Zugangsdienstes KANN für den Nachweis der standortübergreifenden Redundanzfunktionen in der Referenz- und der Testumgebung die VPN-Konzentratoren an einer Lokation betreiben.

TIP1-A_4281 - VPN-Zugangsdienst, NAT an der Schnittstelle zum Internet

Der Anbieter des VPN-Zugangsdienstes DARF NICHT zwischen der internetseitigen Schnittstelle der VPN-Konzentratoren und dem Internet NAT-Verfahren einsetzen.

TIP1-A_4282 - VPN-Zugangsdienst, Eindeutiger FQDN für VPN-Konzentratoren

Der Anbieter des VPN-Zugangsdienstes MUSS jeden VPN-Konzentrator mit einem eindeutigen FQDN versehen.

TIP1-A_4284 - VPN-Zugangsdienst, Redundanter Internetzugang

Der Anbieter des VPN-Zugangsdienstes MUSS die VPN-Konzentratoren über einen redundanten Zugang an das Internet anbinden. Hierzu sind mindestens zwei vollständig unabhängige Leitungsführungen zwischen dem Standort und dem IP-Backbone sowie unabhängige Zugangsrouter erforderlich.

TIP1-A_4285 - VPN-Zugangsdienst, Umschaltzeiten am Internetzugang

Der Anbieter des VPN-Zugangsdienstes MUSS sicherstellen, dass die Umschaltzeit vom Ausfall einer Verbindung zwischen VPN-Konzentrator und Internet-Router oder beim Ausfall eines Internet-Routers bis zur Wiederherstellung des Internetzugangs unter einer Sekunde liegt.

TIP1-A_4288 - VPN-Zugangsdienst, redundante Anbindung an die TI

Der Anbieter des VPN-Zugangsdienstes MUSS die Standorte des VPN-Zugangsdienstes redundant an das Zentrale Netz der TI anbinden.

TIP1-A_4289 - VPN-Zugangsdienst, Service-Zone TI

Der Anbieter des VPN-Zugangsdienstes MUSS an jedem Standort in Kolokation eine eigene Service-Zone TI bereitstellen. Die Service-Zone TI besteht aus einem logisch getrennten Netzwerksegment. In dieser Service-Zone TI werden Proxy-Server, Nameserver TI, NTP-Server und andere Backend-Systeme aufgestellt.

TIP1-A_4472 - VPN-Zugangsdienst, Adressierung der Service-Zone TI

Der Anbieter des VPN-Zugangsdienstes MUSS der Service-Zone TI einen ausreichend großen Adressraum aus dem Adressbereich TI_Zentral zuweisen.

TIP1-A_4290 - VPN-Zugangsdienst, Redundanz der VPN-Konzentratoren im VPN-Konzentrator-Standort

Der Anbieter des VPN-Zugangsdienstes MUSS sicherstellen, dass bei Ausfall eines von mehreren VPN-Konzentratoren die verbleibenden VPN-Konzentratoren in demselben Standort den Datenverkehr aller Kunden des ausgefallenen VPN-Konzentrators zusätzlich übernehmen können. Die Anforderungen an die Dauer der Authentisierung sind in diesem Fall einzuhalten.

TIP1-A_4291 - VPN-Zugangsdienst, standortübergreifende Redundanz der VPN-Konzentratoren

Der Anbieter des VPN-Zugangsdienstes MUSS sicherstellen, dass bei Ausfall eines Standortes ein anderer, vorzugsweise der geografisch nächste Standort, den Datenverkehr des ausgefallenen Standortes übernehmen kann.

TIP1-A_5451 - VPN-Zugangsdienst, IPsec-Verbindungen bei Komponentenausfall beenden

Der Anbieter des VPN-Zugangsdienstes MUSS alle bestehenden IPsec-Verbindungen auf den VPN-Konzentratoren TI beenden und darf keine neuen Verbindungen zulassen, wenn am jeweiligen VPN-Zugangsdienst-Standort eine Komponente der Service-Zone TI oder eine an der Weiterleitung der Daten vom VPN-Konzentrator TI zum SZZP beteiligte Komponente ausfällt und dadurch die Nutzung der Fachanwendungsspezifischen Dienste sowie der Zentralen Dienste der TI-Plattform nicht mehr möglich ist. Hiervon ausgenommen sind die NTP-Server der Service-Zone TI.

TIP1-A_4292 - VPN-Zugangsdienst, Härtung des VPN-Konzentrators

Der Anbieter des VPN-Zugangsdienstes MUSS die VPN-Konzentratoren so konfigurieren, dass ausschließlich die erforderlichen Netzwerkprotokolle und kryptographischen Methoden akzeptiert werden.

TIP1-A_4473 - VPN-Zugangsdienst, Verhalten der Konzentratoren bei Vollauslastung

Der Anbieter des VPN-Zugangsdienstes MUSS die VPN-Konzentratoren so konfigurieren, dass bei Vollauslastung der Systemressourcen keine weiteren Verbindungen angenommen werden.

TIP1-A_4286 - VPN-Zugangsdienst, keine TI-Tunnel bei fehlender TI-Verbindung

Der Anbieter des VPN-Zugangsdienstes MUSS sicherstellen, dass die VPN-Konzentratoren TI eines Standortes des VPN-Zugangsdienstes keine IPsec-Verbindungen von Konnektoren annehmen, während an diesem Standort der Zugang in das zentrale Netz der TI gestört ist. Aktive Verbindungen der Konnektoren zu den VPN-Konzentratoren TI MÜSSEN gemäß [RFC 7296] abgebaut werden.
[<=]

TIP1-A_4287 - VPN-Zugangsdienst, keine SIS-Tunnel bei fehlender SIS-Internetverbindung

Der Anbieter des VPN-Zugangsdienstes MUSS sicherstellen, dass die VPN-Konzentratoren SIS keine IPsec-Verbindungen annehmen, während der Übergang durch den SIS in das Internet gestört ist. Aktive Verbindungen der Konnektoren zu den VPN-Konzentratoren SIS MÜSSEN gemäß [RFC7296] abgebaut werden.
[<=]

TIP1-A_4293 - VPN-Zugangsdienst, IPv4-Adressierung der Internetschnittstellen der VPN-Konzentratoren

Der Anbieter des VPN-Zugangsdienstes MUSS jedem VPN-Konzentrator genau eine öffentliche IPv4-Adresse zuweisen. Diese Adresse MUSS auf der physischen Schnittstelle zum Internet konfiguriert werden. Die öffentlichen IP-Adressen der VPN-Konzentratoren MÜSSEN vom Anbieter des VPN-Zugangsdienstes zur Verfügung gestellt werden.

TIP1-A_4294 - VPN-Zugangsdienst, Adressen des SIS zum Internet

Der Anbieter des VPN-Zugangsdienstes MUSS eine ausreichende Anzahl öffentlicher IP-Adressen zum Betrieb des SIS zur Verfügung stellen.

TIP1-A_4295 - VPN-Zugangsdienst, eigene Domain für VPN-Konzentrator-FQDN

Der Anbieter VPN-Zugangsdienst MUSS für die FQDN der VPN-Konzentratoren eine eigene Domain oder Subdomain im Namensraum Internet einrichten und betreiben.

TIP1-A_4296 - VPN-Zugangsdienst, Namensauflösung durch SRV-Record

Der Anbieter des VPN-Zugangsdienstes MUSS die FQDN der VPN-Konzentratoren über DNS SRV-Records in den Nameservern Internet gemäß [RFC2782] bereitstellen. Die DNS-SRV-Records MÜSSEN alle dem Kunden zugeordneten VPN-Konzentratoren enthalten. Jeder DNS-SRV-Record MUSS eine Priorisierung und Gewichtung der VPN-Konzentratoren vornehmen, wobei der den Kunden nächstgelegene Standort die höchste Priorität erhält, der oder die Backup-Standorte eine nachrangige Priorität.

TIP1-A_4297 - VPN-Zugangsdienst, Nutzung der SRV-Records zu betrieblichen Zwecken

Der Anbieter des VPN-Zugangsdienstes MUSS die DNS-SRV-Records betrieblichen Erfordernissen anpassen. Dies beinhaltet mindestens:

• Abschaltung existierender oder Inbetriebnahme neuer Standorte

• Wartungsarbeiten oder Störungen an einzelnen VPN-Gateways

• Gegenmaßnahmen bei Ereignissen, welche einen Standort unbrauchbar machen

• Gegenmaßnahmen bei unvorhergesehener Überlast

• Optimierung der Systemperformance

TIP1-A_4300 - VPN-Zugangsdienst, Performance Authentisierung/Autorisierung

Der Anbieter des VPN-Zugangsdienstes MUSS das Authentisierungs- und Autorisierungssystem so dimensionieren, dass die Authentisierungs- und Authorisierungsanfragen pro Tag, die durch einen IKEv2-Verbindungsaufbau ausgelöst wird, innerhalb von 2 s bearbeitet werden. Bearbeitungszeiten durch Systeme außerhalb des VPN-Zugangsdienstes sind hiervon ausgenommen.

TIP1-A_4475 - VPN-Zugangsdienst, Performance Authentisierung/Autorisierung bei Standortausfall

Der Anbieter des VPN-Zugangsdienstes MUSS das Authentisierungs- und Autorisierungssystem so dimensionieren, dass bei Ausfall eines Standortes ein anderer Standort alle dort zusätzlich ankommenden Verbindungsanfragen innerhalb von 5 Minuten abarbeiten kann.

TIP1-A_4301 - VPN-Zugangsdienst, Durchsatz Verbindung zum Transportnetz Internet

Der Anbieter des VPN-Zugangsdienstes MUSS den Internetzugang so dimensionieren, dass innerhalb eines Zeitraums von 5 Minuten die Auslastung nicht länger als insgesamt 15 Sekunden über 90% liegt.

TIP1-A_4476 - VPN-Zugangsdienst, Durchsatz Verbindung zum Zentralen Netz TI

Der Anbieter VPN-Zugangsdienst MUSS den Zugang zum Zentralen Netz TI so dimensionieren, dass innerhalb eines Zeitraums von 5 Minuten die Auslastung nicht länger als insgesamt 15 Sekunden über 90% liegt.

TIP1-A_4302 - VPN-Zugangsdienst, Nameserver mit rekursiver Funktion im Namensraum Internet

Der Anbieter des VPN-Zugangsdienstes MUSS an mindestens drei verschiedenen, in Deutschland geografisch verteilten Orten, Nameserver im Namensraum Internet betreiben, welche rekursive DNS-Anfragen der Konnektoren beantworten.

Um die Sicherheit der Nameserver zu erhöhen, können die abfragbaren Domains per Whitelist auf die fachlich erforderlichen Domains eingeschränkt werden.

TIP1-A_4303 - VPN-Zugangsdienst, Nameserver mit autoritativer Funktion im Namensraum Internet

Der Anbieter des VPN-Zugangsdienstes MUSS an mindestens drei verschiedenen, in Deutschland geografisch verteilten Orten, autoritative Nameserver im Namensraum Internet betreiben, welche DNS-Anfragen zur Auflösung von FQDNs der VPN-Konzentratoren beantworten.

TIP1-A_5103 - VPN-Zugangsdienst, Resource Records im Nameserver Internet

Der Anbieter des VPN-Zugangsdienstes MUSS in den Nameservern Internet die Resource Records gemäß Tabelle Tab_ZD_Nameserver_Int_RR verwalten. Dazu müssen je Standort dedizierte Subdomänen verwendet werden.

Tabelle 1: Tab_ZD_Nameserver_Int_RR

​​

TIP1-A_4305 - VPN-Zugangsdienst, IPv4-Adressierung Nameserver Internet

Der Anbieter des VPN-Zugangsdienstes MUSS jedem der drei Nameserver Internet genau eine öffentliche IPv4-Adresse zuweisen. [<=]

TIP1-A_4306 - VPN-Zugangsdienst, Nameserver Namensraum TI

Der VPN-Zugangsdienst MUSS mindestens zwei Nameserver TI (full service resolver) bereitstellen, die rekursive DNS-Anfragen der Konnektoren zur Auflösung von Namen im Namensraum TI beantworten, und Antworten entsprechend der TTL zwischenspeichern (Caching).

TIP1-A_4307 - VPN-Zugangsdienst, Bereitstellung Nameserver TI

Der Anbieter des VPN-Zugangsdienstes MUSS die Nameserver TI in Kolokation mit jedem Standort des VPN-Zugangsdienstes aufstellen. Sie MÜSSEN sich netzwerktechnisch in der Service-Zone TI des Standortes befinden.

TIP1-A_5104 - VPN-Zugangsdienst, Resource Records im Nameserver TI

Der Anbieter des VPN-Zugangsdienstes MUSS in den Nameservern TI die Resource Records gemäß Tabelle Tab_ZD_Nameserver_TI_RR verwalten. Dazu müssen je Standort dedizierte Subdomänen verwendet werden.

Tabelle 2: Tab_ZD_Nameserver_TI_RR

TIP1-A_4308 - VPN-Zugangsdienst, Adressierung des Nameservers TI

Der Anbieter des VPN-Zugangsdienstes MUSS jedem Nameserver TI eine IP-Adresse aus der Service-Zone TI des Standortes zuweisen.

TIP1-A_4309 - VPN-Zugangsdienst, Nameserver im Namensraum SIS

Der VPN-Zugangsdienst MUSS mindestens zwei Nameserver SIS (full service resolver) bereitstellen, die rekursive DNS-Anfragen der Konnektoren, zur Auflösung von Namen im Namensraum Internet, beantworten und Antworten entsprechend der TTL zwischenspeichern (Caching).

TIP1-A_4310 - VPN-Zugangsdienst, Bereitstellung Nameserver SIS

Der Anbieter des VPN-Zugangsdienstes MUSS pro Standort mindestens einen Nameserver SIS bereitstellen. Die Nameserver SIS MÜSSEN sich netzwerktechnisch in der Servicezone SIS des Standortes befinden.

TIP1-A_4311 - VPN-Zugangsdienst, Adressierung Nameserver SIS

Der Anbieter des VPN-Zugangsdienstes MUSS jedem Nameserver SIS eine öffentliche IP-Adresse zuweisen.

TIP1-A_4312 - VPN-Zugangsdienst, Bereitstellung Registrierungsserver

Der Anbieter des VPN-Zugangsdienstes MUSS an mindestens einem Standort einen Registrierungsserver in der Zugangszone TI mit einer Schnittstelle zum Internet bereitstellen und diesen in einer DMZ betreiben.

TIP1-A_5713 - VPN-Zugangsdienst, Härtung des Registrierungsservers

Der Anbieter des VPN-Zugangsdienstes MUSS den Registrierungsserver so konfigurieren, dass an der Schnittstelle zum Internet ausschließlich https-Anfragen akzeptiert werden.
​​

TIP1-A_4314 - VPN-Zugangsdienst, IPv4-Adressierung Registrierungsserver

Der Anbieter des VPN-Zugangsdienstes MUSS jedem Registrierungsserver mindestens eine öffentliche IPv4-Adresse zuweisen.

[<=]

TIP1-A_4315 - VPN-Zugangsdienst, Bildung von AAA-Zugangsdaten aus Zertifikaten

Die VPN-Konzentratoren des VPN-Zugangsdienstes MÜSSEN die Bildung von AAA-Zugangsdaten (Credentials) aus Aussteller und Seriennummer des Konnektorzertifikats C.NK.VPN unterstützen.

TIP1-A_4316 - VPN-Zugangsdienst, Autorisierung über Protokoll

Die VPN-Konzentratoren des VPN-Zugangsdienstes MÜSSEN die Weiterleitung der AAA-Zugangsdaten über ein standardisiertes Authentisierungsprotokoll (RADIUS oder DIAMETER) an einen gesonderten Autorisierungsserver unterstützen.

TIP1-A_4317 - VPN-Zugangsdienst, Profilzuweisung durch Autorisierungsserver

Der Autorisierungsserver des VPN-Zugangsdienstes MUSS die Rückgabe eines Profilwertes unterstützen, der vom VPN-Konzentrator zur Zuweisung einer Policy genutzt werden kann.

TIP1-A_4318 - VPN-Zugangsdienst, ACL-Zuweisung

Die VPN-Konzentratoren des VPN-Zugangsdienstes MÜSSEN die Zuweisung von spezifischen Benutzerprofilen entsprechend der zugewiesenen Policy an die Verbindungen zu den Konnektoren aufgrund der Autorisierung durch den Autorisierungsserver unterstützen. Insbesondere MUSS die Zuweisung einer IP-basierten ACL zu jedem IPsec-Tunnel möglich sein. Die IP-basierte ACL MUSS die Filterung von Datenverkehr auf OSI Layer 3 und 4 durch eine Regel ermöglichen. Die Regel beinhaltet Einträge von Quell- und Zieladresse, Protokoll sowie Quell- und Zielport.

TIP1-A_4319 - VPN-Zugangsdienst, Verteilung des Autorisierungsservers

Der Anbieter des VPN-Zugangsdienstes MUSS die Autorisierungsserver in Kolokation mit jedem Standort des VPN-Zugangsdienstes aufstellen. Sie MÜSSEN sich jeweils netzwerktechnisch in der Zugangszone TI bzw. Zugangszone SIS des Standortes befinden.

TIP1-A_4321 - VPN-Zugangsdienst, IP-Adresse des Autorisierungsservers

Der Anbieter des VPN-Zugangsdienstes MUSS dem Autorisierungsserver eine IP-Adresse aus dem Adressbereich der jeweiligen Zugangszone TI bzw. Zugangszone SIS des Standortes zuweisen.

TIP1-A_5709 - VPN-Zugangsdienst, bereitgestellte Zertifikate

Der Anbieter des VPN-Zugangsdienstes MUSS die Zertifikate

• der VPN-Konzentratoren TI C.VPNK.VPN

• der VPN-Konzentratoren SIS C.VPNK.VPN-SIS

• der registrierten Konnektoren C.NK.VPN

im hash&URL-Server bereitstellen.

Der Anbieter des VPN-Zugangsdienstes muss sicherstellen, dass die bereitgestellten Zertifikate gültig sind. Ungültige Zertifikate müssen gelöscht werden.

TIP1-A_5710 - VPN-Zugangsdienst, Verteilung des hash&URL-Servers

Der Anbieter des VPN-Zugangsdienstes MUSS an mindestens einem Standort einen hash&URL-Server in der Zugangszone TI mit einer Schnittstelle zum Internet bereitstellen und diesen in einer DMZ betreiben.

TIP1-A_5711 - VPN-Zugangsdienst, Härtung des hash&URL-Servers

Der Anbieter des VPN-Zugangsdienstes MUSS den hash&URL-Server so konfigurieren, dass an der Schnittstelle zum Internet ausschließlich http-Anfragen akzeptiert werden.

TIP1-A_5712 - VPN-Zugangsdienst, IP-Adresse des hash&URL-Servers

Der Anbieter des VPN-Zugangsdienstes MUSS dem hash&URL-Server mindestens eine öffentliche IP-Adresse zuweisen.

TIP1-A_4322 - VPN-Zugangsdienst, http-Forwarder - Bereitstellung

Der Anbieter des VPN-Zugangsdienstes MUSS einen http-Forwarder bereitstellen, der an ihn gerichtete http-Anfragen in der Funktion eines Forwarding-Proxy weiterleitet und die zurückgelieferten http-Antworten an den Absender sendet.

Alle Anfragen, deren Ziel nicht im Namensraum der TI liegt, MÜSSEN an den OCSP-Proxy der TI-Plattform mit einer neu gebildeten Ziel-URL weitergeleitet werden. Die Ziel-URL ist nach folgendem Schema zu bilden:

<URL des OCSP-Proxy>/<bisherige Ziel URL des OCSP Requests>

TIP1-A_4323 - VPN-Zugangsdienst, http-Forwarder - Verteilung

Der Anbieter des VPN-Zugangsdienstes MUSS pro Standort mindestens einen http-Forwarder bereitstellen, der sich netzwerktechnisch in der Service-Zone TI befindet.

TIP1-A_4325 - VPN-Zugangsdienst, http-Forwarder - Absenderadresse

Der Anbieter des VPN-Zugangsdienstes MUSS sicherstellen, dass die http-Anfragen mit der IP-Adresse des http-Forwarders als Absenderadresse weitergeleitet werden.

TIP1-A_4326 - VPN-Zugangsdienst, http-Forwarder - kein Cache

Der Anbieter des VPN-Zugangsdienstes MUSS sicherstellen, dass der über den http-Forwarder geleiteten Datenverkehr nicht in einem Cache zwischengespeichert wird.

TIP1-A_5117 - Anonymisierung

Der Anbieter des VPN-Zugangsdienstes MUSS sicherstellen, dass die über ihn weitergeleitetem http-Anfragen anonymisiert sind; insbesondere DARF die IP-Adresse des ursprünglichen http-Klienten NICHT in der weitergeleiteten Anfrage enthalten sein.

TIP1-A_4327 - VPN-Zugangsdienst, http-Forwarder - IP-Adresse

Der Anbieter des VPN-Zugangsdienstes MUSS jedem http-Forwarder eine IP-Adresse aus dem Adressbereich der Service-Zone des Standortes zuweisen.

TIP1-A_4477 - VPN-Zugangsdienst, Synchronisierung der Komponenten mit den Stratum-2-NTP-Servern

Der VPN-Zugangsdienst MUSS folgende Komponenten mit seinen Stratum-2-NTP-Servern synchronisieren:

• • Registrierungsserver

  • Nameserver (TI)

  • VPN-Konzentrator (TI)

  • http-Forwarder

  • Autorisierungsserver

TIP1-A_4478 - VPN-Zugangsdienst, Synchronisierung der Komponenten mit Ersatzverfahren

Der VPN-Zugangsdienst MUSS folgende Komponenten mit einem Ersatzverfahren synchronisieren, das sicherstellt, dass die maximale Abweichung von der gesetzlichen Zeit nicht größer als eine Sekunde ist:

• • VPN-Konzentrator (SIS)

  • Sicherheitsgateway (SIS)

  • Autorisierungsserver (SIS)

  • Nameserver (SIS)

  • Packet Filter (SIS)

  • Packet Filter (TI)

Die Stratum-1- und 2-NTP-Server für die TI dürfen dazu nicht verwendet werden.

TIP1-A_4328 - VPN-Zugangsdienst, Anzahl der Stratum-2-NTP-Server

Der Anbieter des VPN-Zugangsdienstes MUSS pro Standort mindestens zwei aktive Stratum-2-NTP-Server bereitstellen, die mit den Stratum-1-NTP-Servern des Zeitdienstes synchronisiert sind. Sie MÜSSEN sich netzwerktechnisch in der Service-Zone TI des Standortes befinden.

TIP1-A_4479 - VPN-Zugangsdienst, maximale Zeitabweichung der Stratum-2-NTP-Server

Der Anbieter des VPN-Zugangsdienstes MUSS gewährleisten, dass die Zeitabweichung zwischen den Stratum-2-NTP-Servern eines Standortes nicht mehr als 330ms beträgt.

TIP1-A_4330 - VPN-Zugangsdienst, Synchronisierung der Konnektoren

Der Anbieter des VPN-Zugangsdienstes MUSS gewährleisten, dass sich die über die VPN-Konzentratoren TI verbundenen Konnektoren mit den Stratum-2-NTP-Servern des Standortes synchronisieren können.

TIP1-A_4331 - VPN-Zugangsdienst, Adressierung der NTP-Server

Der Anbieter des VPN-Zugangsdienstes MUSS jedem Stratum-2-NTP-Server eine IP-Adresse aus dem Adressbereich der Service-Zone TI des Standortes zuweisen.

TIP1-A_4332 - VPN-Zugangsdienst, Verteilung des SIS

Der Anbieter des VPN-Zugangsdienstes MUSS den SIS in jedem Standort des VPN-Zugangsdienstes bereitstellen. Die Service-Zone SIS MUSS als DMZ ausgelegt werden.

TIP1-A_4480 - VPN-Zugangsdienst,

Der VPN-Zugangsdienst MUSS ermöglichen, dass die Sicherheitsleistungen des SIS anpassbar sind.

A_13542 - VPN-Zugangsdienst, SIS ohne Proxy-Konfiguration

Der Anbieter des VPN-Zugangsdienstes MUSS ermöglichen, dass über SIS auch Systeme, die keine Proxy-Konfiguration zulassen, das Internet erreichen können.
[<=]

TIP1-A_4334 - VPN-Zugangsdienst, Adressierung des SIS

Der Anbieter des VPN-Zugangsdienstes MUSS in der Service-Zone SIS öffentliche IP-Adressen verwenden.

TIP1-A_4335 - VPN-Zugangsdienst, Bereitstellung der öffentlichen Adressen

Der Anbieter des VPN-Zugangsdienstes MUSS die öffentlichen IP-Adressen für die Service-Zone SIS bereitstellen.

A_18748 - Informationensbereitstellung Sicherheitsleistungen SIS

Der VPN-Zugangsdienstanbieter MUSS den Vertragspartnern, Leistungserbringern und Dienstleistern vor Ort Informationen zu den Sicherheitsleistungen des sicheren Internet Service (SIS) sowie deren Grenzen (z.B. Umgang mit verschlüsseltem Datenverkehr, freigeschaltete Ports, Leistung des Virenschutzes) transparent und verständlich bereitstellen.
[<=]

TIP1-A_4481 - VPN-Zugangsdienst, Kommunikation zwischen Service-Zonen und Zugangszonen

Der Anbieter des VPN-Zugangsdienstes MUSS sicherstellen, dass die Netzwerkkommunikation der Konnektoren über

• die Zugangszone TI und anschließend über die Service-Zone TI in die TI oder

• die Zugangszone SIS und anschließend über die Service-Zone SIS in das Internet

erfolgt.

TIP1-A_5046 - VPN-Zugangsdienst, Sichere Speicherung des Vertrauensankers der PKI

Die Komponenten VPN-Konzentrator und Registrierungsserver des VPN-Zugangsdienstes MÜSSEN den Vertrauensanker der PKI in Form TSL-Signer-CA-Zertifikat in aktueller Version enthalten und sicher im Trust Store speichern.

TIP1-A_5047 - VPN-Zugangsdienst, Gültigkeitsprüfung und Speicherung der TSL-Inhalte in lokalem Trust Store

Die Komponenten VPN-Konzentrator und Registrierungsserver des VPN-Zugangsdienstes MÜSSEN die Inhalte der TSL nach erfolgreicher Prüfung der TSL gemäß [gemSpec_PKI#TUC_PKI_019] in einem Trust Store sicher speichern. Ist das Prüfungsergebnis "VALIDITY_WARNING_1" oder "VALIDITY_WARNING_2" dürfen keine Inhalte der TSL in den Trust Store übernommen werden und bestehende Einträge im Trust Store müssen gelöscht werden.

Die Komponenten VPN-Konzentrator und Registrierungsserver des VPN-Zugangsdienstes MÜSSEN die Inhalte der TSL nach erfolgreicher Vertrauensraum- und syntaktischer Prüfung in einem Trust Store sicher speichern.

TIP1-A_5048 - VPN-Zugangsdienst, Schlüssel sicher speichern

Die Komponenten VPN-Konzentrator und Registrierungsserver des VPN-Zugangsdienstes MÜSSEN Schlüssel sicher speichern und ihr Auslesen verhindern.

TIP1-A_4337 - VPN-Zugangsdienst, Physisch getrennte Schnittstellen

Die VPN-Konzentratoren des VPN-Zugangsdienstes MÜSSEN für die Anbindung an das Transportnetz Internet und für die Anbindung an die TI und den SIS physisch getrennte Schnittstellen nutzen.

TIP1-A_4338 - VPN-Zugangsdienst, Sicherung zum Transportnetz Internet durch Paketfilter

Die VPN-Konzentratoren des VPN-Zugangsdienstes MÜSSEN zum Transportnetz Internet durch einen zustandslosen Paketfilter (ACL) gesichert werden, welcher ausschließlich die erforderlichen Protokolle weiterleitet. Der Paketfilter MUSS frei konfigurierbar sein auf der Grundlage von Informationen aus OSI Layer 3 und 4, das heißt Quell- und Zieladresse, IP-Protokoll sowie Quell- und Zielport.

TIP1-A_4339 - VPN-Zugangsdienst, Platzierung Paketfilters Internet

Der Paketfilter des VPN-Zugangsdienstes zum Schutz der VPN-Konzentratoren in Richtung Transportnetz Internet DARF NICHT auf den VPN-Konzentratoren implementiert werden.

TIP1-A_4340-01 - VPN-Zugangsdienst, Richtlinien für den Paketfilter zum Internet

Der Paketfilter des VPN-Zugangsdienstes MUSS die Weiterleitung von IP-Paketen auf die nachfolgenden Protokolle beschränken:

• ESP
  
• IKEv2: UDP Port 500
  
• IPsec NAT-T: UDP Port 4500
  
• ICMP Unreachable (Type 3)
  
• ICMP Echo Request (Type 8)/Echo Replay (Type 0)
• ICMPv6 Destination Unreachable (Type 1, all Codes)
• ICMPv6 Packet to Big (Type 2)
• ICMPv6 Time Exceeded (Type 3, all Codes)
• ICMPv6 Parameter Problems (Type 4, all Codes)
• ICMPv6 Echo Request (Type 128)/Echo Response (Type 129)
• DNS (wenn ein Nameserver Internet hinter dem Paketfilter implementiert ist)
  
• http (wenn ein Hash_and_URL Server hinter dem Paketfilter implementiert ist)
  
• https (wenn ein Registrierungsserver hinter dem Paketfilter implementiert ist)
  

TIP1-A_4341 - VPN-Zugangsdienst, Erkennung von Angriffen

Der Anbieter des VPN-Zugangsdienstes MUSS durch technische Maßnahmen sicherstellen, dass Angriffe aus dem Internet auf den VPN-Zugangsdienst erkannt werden.

Als geeignete Maßnahmen werden angesehen:

• Auswertung von Logfiles

• Auswertung von Netflow

• Intrusion Detection Systeme (IDS)

TIP1-A_4344 - VPN-Zugangsdienst SIS, Maßnahmen gegen Schadsoftware

Der VPN-Zugangsdienst MUSS im SIS bei der Übertragung von Daten über unverschlüsselte Protokolle Maßnahmen zum Schutz vor Schadsoftware umsetzen.

TIP1-A_4345 - VPN-Zugangsdienst SIS, Application Layer Gateway

Der VPN-Zugangsdienst MUSS im SIS Application Level Gateways/Anwendungsproxies zur Kontrolle des Datenverkehrs für folgende Protokolle bereitstellen:

• • • • HTTP und HTTPS

      • FTP

      • SMTP und SMTPS

      • IMAP und IMAPS

      • POP3 und POP3S

Eine Erweiterung um zusätzliche Application Level Gateways/ Anwendungsproxies für Standardprotokolle MUSS möglich sein.

TIP1-A_4346 - VPN-Zugangsdienst SIS, Paketfilter

Der VPN-Zugangsdienst MUSS im SIS Paketfilter mit Stateful-Inspection-Funktion bereitstellen.

TIP1-A_4347 - VPN-Zugangsdienst SIS, Filter für aktive Inhalte

Der VPN-Zugangsdienst MUSS im SIS für unverschlüsselte Protokolle Contentfilter für aktive Inhalte bereitstellen.

TIP1-A_4348 - VPN-Zugangsdienst SIS, URL-Filter

Der VPN-Zugangsdienst MUSS im SIS URL-Filterfunktion bereitstellen.

TIP1-A_5155 - VPN-Zugangsdienst SIS, Verhinderung Verbindungsaufbau aus dem Internet

Der VPN-Zugangsdienst MUSS im SIS jeden Verbindungsaufbau aus Richtung Internet verhindern.

TIP1-A_5156 - VPN-Zugangsdienst SIS, Erkennung von Angriffen aus dem Internet

Der VPN-Zugangsdienst MUSS im SIS durch technische Maßnahmen sicherstellen, dass Angriffe aus dem Internet erkannt werden können.

Als geeignete Maßnahmen werden angesehen:

• Auswertung von Logfiles

• Auswertung von Netflow

• Intrusion Detection Systeme (IDS)

TIP1-A_4482 - VPN-Zugangsdienst, Kommunikation zwischen Konnektoren

Der Anbieter des VPN-Zugangsdienstes MUSS sicherstellen, dass eine direkte Netzwerkkommunikation zwischen Konnektoren über den VPN-Konzentratoren nicht möglich ist.

TIP1-A_5389 - VPN-Zugangsdienst, zyklische Prüfung der C.NK.VPN und C.HCI.OSIG Zertifikate

Der VPN-Zugangsdienst MUSS die Gültigkeit aller bei ihm im Rahmen von Konnektorregistrierungen verwendeten C.NK.VPN (SMC-K-Zertifikat) und C.HCI.OSIG (SM-B-OSIG-Zertifikat) gemäß TUC_PKI_002 und TUC_PKI_006 einmal täglich prüfen.

Die Prüfung der Zertifikate muss gleichmäßig verteilt über das Prüfintervall erfolgen.

A_25743 - VPN-Zugangsdienst, Durchführung der zyklische Prüfung

Wenn bei der Statusprüfung von C.HCI.OSIG oder C.NK.VPN mit dem Aufrufparameter "TOLERATE_OCSP_FAILURE=true" im Rahmen der zyklischen Prüfung die Warnung "OCSP_CHECK_REVOCATION_FAILED" zurückgegeben wird, MUSS der VPN-Zugangsdienst die Statusprüfung als erfolgreich bewerten. Die mit den Zertifikaten assoziierte IPsec-Verbindung MUSS der VPN-Zugangsdienst bestehen lassen. Der zugehörige Eintrag im Autorisierungsserver MUSS der VPN-Zugangsdienstanbieter auf "on hold" setzen und darf maximal 2 Tage (oder nach einer vom GBV vorgegebenen Frist) in diesem Zustand verbleiben.

Wenn bei der Statusprüfung von C.HCI.OSIG oder C.NK.VPN mit dem Aufrufparameter "TOLERATE_OCSP_FAILURE=true" im Rahmen der zyklischen Prüfung der Response einen Statuscode ungleich 0 enthält , MUSS der VPN-Zugangsdienst die Statusprüfung als gescheitert bewerten. Die mit den Zertifikaten assoziierte IPsec-Verbindung MUSS der VPN-Zugangsdienst unverzüglich trennen. Der zugehörigen Eintrag im Autorisierungsserver MUSS der VPN-Zugangsdienstanbieter auf "on hold" setzen und darf maximal 2 Tage (oder nach einer vom GBV vorgegebenen Frist) in diesem Zustand verbleiben. 

Der Anbieter des VPN-Zugangsdienstes MUSS bei einem massenhaften Auftreten von "on hold" Markierungen bei der zyklischen Prüfung den GBV informieren und den wahrscheinlichen Verursacher der Störung (z. B. TSL-Aussteller oder TSP X.509, Anbieter Zentrales Netz) zur Behebung auffordern.

Wenn die Statusprüfung nach Ablauf der Frist immer noch die Warnung "OCSP_CHECK_REVOCATION_FAILED" zurückgegeben wird oder der Response einen Statuscode ungleich 0 liefert, MUSS der Eintrag im Autorisierungsserver entfernt werden.

Die sich aus der Prüfung ergebenden Änderungen an den Einträgen im Autorisierungsserver MÜSSEN protokolliert werden und die protokollierten Daten dem betroffenen Anwender oder der gematik auf Anforderung zur Verfügung gestellt werden. [<=]

A_25864 - VPN-Zugangsdienst, Sperrprüfung von C.HCI.OSIG oder C.NK.VPN Zertifikat

Wenn die zyklische Prüfung ergeben hat, dass das C.HCI.OSIG (SM-B-OSIG-Zertifikat) oder das C.NK.VPN (gSMC-K-Zertifikat) gesperrt ist, MUSS der VPN-Zugangsdienst die mit diesen Zertifikaten assoziierten IPsec-Verbindungen unverzüglich trennen und den zugehörigen Eintrag im Autorisierungsserver auf "on hold" setzen. Einträge im Autorisierungsserver, die auf "on hold" gesetzt sind, dürfen maximal 2 Tage (oder nach einer vom GBV vorgegebenen Frist) in diesem Zustand verbleiben.
Die sich aus der Prüfung ergebenden Änderungen an den Einträgen im Autorisierungsserver müssen protokolliert werden und die protokollierten Daten dem betroffenen Anwender oder der gematik auf Anforderung zur Verfügung gestellt werden. [<=]

TIP1-A_5391 - VPN-Zugangsdienst, Unterstützung von Änderungen der Registrierung

Der Anbieter des VPN-Zugangsdienstes MUSS geeignete organisatorische und/oder technische Maßnahmen vorsehen, die den Anwender bei Änderungen der Registrierung des Konnektors unterstützen.

Hierzu gehören insbesondere:

• Information des Anwenders über den bevorstehenden Ablauf der Gültigkeit von zur Registrierung genutzten Zertifikaten

• Rechtzeitige Bereitstellung der zur Neuregistrierung erforderlichen Informationen

• Aktualisierung existierender Einträge im Registrierungsserver durch die Verwendung eines gültigen SMC-B-Zertifikates.

A_23515 - VPN-Zugangsdienst, Prüfung unzulässiger Produkte in der TI

Der VPN-Zugangsdienst MUSS regelmäßig, mindestens einmal pro Woche, die Lokalisierungsdaten des KSR nach nicht zugelassenen Produkten (Konnektor, eHealth-Kartenterminal) prüfen.
[<=]

A_23627 - VPN-Zugangsdienst, Dokumentationspflicht der Kommunikation

Der VPN-Zugangsdienst MUSS die geschäftliche Korrespondenz aus A_21611-* mit dem Anbieter VPN-Zugangsdienst dokumentieren, Die Dokumentation muss mindestens die folgenden Punkte umfassen,

• Adressaten der geschäftliche Korrespondenz.
• Text der geschäftliche Korrespondenz in anonymisierter Form.
• Mengengerüst der betroffenen Leistungserbringer pro VPN-Zugangsdienst

A_25905 - VPN-Zugangsdienst, Nachvollziehbarkeit der Dokumentation zu Anbieter VPN-Zugangsdienst

Der VPN-Zugangsdienst MUSS die Dokumentation so erstellen, dass für fachkundige Dritte die anlassbezogene Korrespondenz zu A_21611-* und der zeitlichen Ablauf nachvollziehbar ist. [<=]

A_23640 - VPN-Zugangsdienst, Übergabe dokumentierter Korrespondenz

Der VPN-Zugangsdienst MUSS die zu A_21611-* dokumentierte Korrespondenz mit dem Anbieter VPN-Zugangsdienst innerhalb von 5 Werktagen nach Abschluss des Schriftverkehrs an die gematik übergeben. 
[<=]

A_25901 - VPN-Zugangsdienst: Informationspflicht zu Leistungserbringer

Der Anbieter VPN-Zugangsdienst MUSS die jeweiligen über seinen Dienst angebundenen Leistungserbringer unverzüglich bei Verbindungen von nicht-zugelassenen Produkten (Konnektor, eHealth-Kartenterminal) schriftlich über diesen Sachverhalt informieren. [<=]

A_18736-01 - VPN-Zugangsdienst, Informationsinhalt an Leistungserbringer

Der Anbieter VPN-Zugangsdienst MUSS die über seinen Dienst angebundenen Leistungserbringer gemäß A_25901-* in schriftlich und verständlicher Form informieren, dass

• die Aktualisierung seiner Produkte (Konnektor, eHealth-Kartenterminal) mit einer Frist von 30 Werktagen zu erfolgen hat
• die Missachtung der Frist zur Sperrung des TI-Zugangs führt
• alternativ der Austausch der benannten Produkte zu erfolgen hat 

A_26101 - VPN-Zugangsdienst, zweites Schreiben zur Informationspflicht zu Leistungserbringer

Der Anbieter VPN-Zugangsdienst MUSS den Leistungserbringer in einem zweiten Schreiben mit gleichem Informationsinhalt wie A_18736 -* schriftlich auf die Aktualisierungspflicht hinweisen, wenn

• die Aktualisierung seiner eingesetzten Produkte (Konnektor, eHealth-Kartenterminal) noch nicht erfolgt ist
• 50% der in A_18736 -* gesetzten Frist verstrichen ist.

A_25916 - VPN-Zugangsdienst, Dokumentationsplicht zu Leistungserbringer

Der Anbieter VPN-Zugangsdienst MUSS die geschäftliche Korrespondenz aus A_25901 -* mit dem Leistungserbringer dokumentieren. Die Dokumentation muss mindestens die folgenden Punkte umfassen:

• Adressaten der geschäftlichen Korrespondenz
• ContractID
• Text der geschäftliche Korrespondenz in anonymisierter Form
• Liste der betroffenen Produkte (Konnektoren, eHealth-Kartenterminal) beim Adressaten.

A_25922 - VPN-Zugangsdienst, Nachvollziehbarkeit der Dokumentation zu Leistungserbringer

Der Anbieter VPN-Zugangsdienst MUSS die Dokumentation so erstellen, dass für fachkundige Dritte die anlassbezogene Korrespondenz zu A_25901-* und der zeitlichen Ablauf nachvollziehbar ist. [<=]

A_25923 - VPN-Zugangsdienst, Übergabe dokumentierte Korrespondenz zu Leistungserbringer

Der Anbieter VPN-Zugangsdienst MUSS die zu A_25916-* dokumentierte Korrespondenz mit dem Leistungserbringer innerhalb von 5 Werktagen nach Abschluss des Schriftverkehrs an die gematik übergeben.  [<=]

A_26078 - VPN-Zugangsdienst, Genehmigung zur Sperrung des TI-Zugangs

Der Anbieter VPN-Zugangsdienst MUSS die gematik um Anweisung zur Sperrung der VPN-Verbindung vom Konnektor zur Telematikinfrastruktur in schriftlicher Form ersuchen, wenn die folgenden Bedingungen erfüllt sind

• die übermittelten Betriebsdaten oder die vom KSR bereitgestellten Lokalisierungsdaten ergeben weiterhin, dass Produktversionen von Konnektor oder angeschlossenem Kartenterminal nicht mehr zugelassen sind
• die gesetzte Frist aus A_18736-* abgelaufen ist
• die Information zur Aktualisierung der Produkte nach A_25901-* erfolgt ist.

A_26103 - VPN-Zugangsdienst, Sperrung des TI-Zugangs durch Weisung der gematik

Der Anbieter VPN-Zugangsdienst MUSS auf Anweisung der gematik den Verbindungsaufbau von Konnektoren zur Telematikinfrastruktur unterbinden. [<=]

A_26381 - VPN-Zugangsdienst, Umsetzung der Sperrung

Der Anbieter VPN-Zugangsdienst MUSS die Sperrung vornehmen, wenn der VPN-Zugangsdienst die Funktion bereitstellt. Andernfalls MUSS der Anbieter VPN-Zugangsdienst den VPN-Zugangsdienst auffordern, die Umsetzung durchzuführen. [<=]

A_25924 - VPN-Zugangsdienst, Anleitung für Wiedereintritt nach Sperrung

Der Anbieter VPN-Zugangsdienst MUSS dem Leistungserbringer mit gesperrtem Konnektor in verständlicher Form eine Anleitung für den Wiedereintritt in die TI bereitstellen. [<=]

A_23173 - Information an Konnektorbetreiber nach Vorgabe der gematik

Der Anbieter VPN-Zugangsdienst MUSS initiiert durch die gematik seinen Teilnehmern die von der gematik zur Verfügung gestellten Informationen direkt und aktiv (vorzugsweise per E-Mail) übermitteln.
Wenn der Anbieter VPN-Zugangsdienst Betriebsdaten von den angeschlossenen Konnektoren besitzt, MUSS er seine Teilnehmer - wenn dies von der gematik vorgegeben ist - gezielt basierend auf den verwendeten Versionen von Konnektoren oder Kartenterminals informieren.  [<=]

TIP1-A_4349 - VPN-Zugangsdienst und Konnektor, IPsec-Protokoll

Konnektor und VPN-Konzentrator des VPN-Zugangsdienstes MÜSSEN die „Security Architecture for the Internet Protocol“ gemäß [RFC4301] unterstützen.

TIP1-A_4350 - VPN-Zugangsdienst und Konnektor, ESP

Konnektor und VPN-Konzentrator des VPN-Zugangsdienstes MÜSSEN das ESP-Protokoll (Encapsulating Security Payload) gemäß [RFC4303] unterstützen.
[<=]

A_17118-01 - VPN-Zugangsdienst und Konnektor (PTV 4 und höher), Verwendung erweiterter Sequenznummern

Der Konnektor und der VPN-Konzentrator des VPN-Zugangsdienstes MÜSSEN die Nutzung von erweiterten Sequenznummern (ESN) aushandeln und verwenden. [<=]

TIP1-A_4352-01 - VPN-Zugangsdienst und Konnektor, Fenster für die Auswertung der Sequenznummern

Der Konnektor und der VPN-Konzentrator des VPN-Zugangsdienstes MÜSSEN ermöglichen, dass das Fenster für die Auswertung der Sequenznummern (SN) oder der erweiterten Sequenznummern (ESN) im Rahmen des Anti Replay Service empfängerseitig konfigurierbar ist. Es ist nicht erlaubt, dass Anti Replay Fenster auf Null zu setzen. [<=]

TIP1-A_4353 - VPN-Zugangsdienst und Konnektor, Internet Key Exchange Version 2

Der Konnektor und der VPN-Konzentrator des VPN-Zugangsdienstes MÜSSEN den Aufbau von Security Associations (SA) zwischen ihnen, entsprechend dem Internet Key Exchange Protocol Version 2 (IKEv2) gemäß [RFC 7296] und [RFC7427], durchführen.
[<=]

TIP1-A_4354 - VPN-Zugangsdienst und Konnektor, NAT-Traversal

Der Konnektor und der VPN-Konzentrator des VPN-Zugangsdienstes MÜSSEN in ihren IKEv2-Implementationen NAT-Traversal (NAT-T) gemäß [RFC 7296] unterstützen.
[<=]

TIP1-A_4355 - VPN-Zugangsdienst und Konnektor, Dynamic Address Update

Der Konnektor und der VPN-Konzentrator des VPN-Zugangsdienstes MÜSSEN in ihren IKEv2-Implementationen “Dynamic Address Update”, wie in [RFC 7296#Abs.2.23] beschrieben, unterstützen.
[<=]

TIP1-A_4357 - VPN-Zugangsdienst und Konnektor, Peer Liveness Detection

Der Konnektor und der VPN-Konzentrator des VPN-Zugangsdienstes MÜSSEN in ihren IPsec-Implementationen den Liveness Check gemäß [RFC 7296] unterstützen. [<=]

A_13506 - VPN-Zugangsdienst, Liveness Check VPN-Konzentrator

Der VPN-Konzentrator MUSS in einem regelmäßigen Zeitintervall durch Liveness Check gemäß [RFC  7296] seine IPsec-Verbindungen überprüfen. [<=]

TIP1-A_4358 - Konnektor, Liveness Check Konnektor Zeitablauf

Der Konnektor MUSS ermöglichen, dass die Dauer in Sekunden, bis seine IKEv2-Implementation die Verbindung als beendet betrachtet (Liveness Check), über die Managementschnittstelle konfigurierbar ist.

TIP1-A_4359 - Konnektor, NAT-Keepalives

Der Konnektor MUSS NAT-Keepalives unterstützen.

TIP1-A_4360 - Konnektor, Konfiguration der NAT-Keepalives im Konnektor

Der Zeitabstand in Sekunden zwischen zwei NAT-Keepalives MUSS im Konnektor über die Managementschnittstelle konfigurierbar sein. Die Keepalives MÜSSEN über die Managementschnittstelle abschaltbar sein.

A_17169 - VPN-Zugangsdienst, Fragmentierung der IKEv2-Nachrichten

Der VPN-Zugangsdienst, der IPv6 an den Netzwerkschnittstellen zum Transportnetz einsetzt, MUSS die Fragmentierung von IKEv2-Nachrichten gemäß [RFC7383] unterstützen.
[<=]

TIP1-A_4484 - Routing VPN-Zugangsdienst TI

Der VPN-Zugangsdienst MUSS IP-Pakete, die vom Konnektor über den IPsec-Tunnel des VPN-Konzentrators TI zu fachanwendungsspezifischen Diensten, zentralen Diensten der TI-Plattform gesendet werden, zu den entsprechenden Diensten der TI weiterleiten.

Zur jeweiligen Kommunikationsbeziehung zugehörige IP-Pakete der Gegenrichtung müssen zum Konnektor weitergeleitet werden.

TIP1-A_4485 - Routing VPN-Zugangsdienst Bestandsnetze

Der VPN-Zugangsdienst MUSS IP-Pakete, die vom Konnektor über den IPsec-Tunnel des VPN-Konzentrators TI zu Diensten in den Bestandsnetzen gesendet werden, zu den entsprechenden Bestandsnetzen mit Anschluss an die TI weiterleiten.

Zur jeweiligen Kommunikationsbeziehung zugehörige IP-Pakete der Gegenrichtung müssen zum Konnektor weitergeleitet werden.

TIP1-A_6748 - Traffic Selectoren VPN-Zugangsdienst TI

Der VPN-Zugangsdienst MUSS den VPN-Konzentratoren TI den Traffic Selector 0.0.0.0/0 für das lokale und das remote Subnet zuweisen.

TIP1-A_4486 - Routing VPN-Zugangsdienst TI, lokale Dienste

Der VPN-Zugangsdienst MUSS die lokalen TI-Dienste des VPN-Zugangsdienstes (Nameserver TI, NTP-Server, http-Forwarder) für Konnektoren über den IPsec-Tunnel des VPN-Konzentrators TI erreichbar machen.

TIP1-A_4487 - Routing VPN-Zugangsdienst SIS

Der VPN-Zugangsdienst MUSS IP-Pakete, die vom Konnektor über den IPsec-Tunnel des VPN-Konzentrators SIS in Richtung Internet gesendet werden, zum Sicherheitsgateway SIS weiterleiten. Die für die Nutzung des SIS benötigten lokalen Dienste des VPN-Zugangsdienstes (Nameserver SIS) MÜSSEN für die Konnektoren erreichbar sein.

Zur jeweiligen Kommunikationsbeziehung zugehörige IP-Pakete der Gegenrichtung müssen zum Konnektor weitergeleitet werden.

TIP1-A_4488 - Bandbreiten innerhalb des VPN-Zugangsdienstes

Der Anbieter des VPN-Zugangsdienstes MUSS sicherstellen, dass in seinem Netzwerk keine Bandbreitenengpässe entstehen können.

TIP1-A_4364 - VPN-Zugangsdienst, DiffServ-Behandlung zwischen VPN-Konzentrator und Transportnetz Internet

Der Anbieter des VPN-Zugangsdienstes MUSS an der Schnittstelle des VPN-Zugangsdienstes zum Transportnetz Internet in beiden Richtungen die DiffServ-gemäße Behandlung von Datenverkehr unterstützen.

Die Erkennung und/oder Verarbeitung der DiffServ-Flags darf die Werte nicht verändern.

TIP1-A_4367 - VPN-Zugangsdienst, DiffServ-Behandlung zwischen VPN-Zugangsdienst und Zentralem Netz

Der Anbieter des VPN-Zugangsdienstes MUSS an der Schnittstelle zum Zentralen Netz die DiffServ-gemäße Behandlung von Datenverkehr unterstützen.

Die Erkennung und/oder Verarbeitung der DiffServ-Flags darf die Werte nicht verändern.

TIP1-A_4489 - DiffServ-Behandlung im alternativen Zugangsnetz

Sofern der Anbieter des VPN-Zugangsdienstes einen alternativen Zugang anbietet, der nicht das Internet als Transportnetz nutzt, MUSS er auf diesem Transportnetz durchgehend die DiffServ-gemäße Behandlung von Datenverkehr unterstützen.

Die Erkennung und/oder Verarbeitung der DiffServ-Flags darf die Werte nicht verändern.

TIP1-A_4490 - DiffServ-Markierung durch SIS

Der Secure Internet Service (SIS) des VPN-Zugangsdienstes MUSS an der Schnittstelle Sicherheitsgateway zum Internet die DiffServ-gemäße Markierung von Datenverkehr unterstützen.

TIP1-A_4368 - VPN-Zugangsdienst, DiffServ-Behandlung SIS zum Internet

Der Secure Internet Service (SIS) des VPN-Zugangsdienstes MUSS an der Schnittstelle Sicherheitsgateway zum Internet die DiffServ-gemäße Behandlung von Datenverkehr unterstützen.

Das ALG muss ermöglichen, dass die Regeln zur Kontrolle des Datenverkehrs um eine DSCP-Markierung der ausgehenden IP-Pakete erweitert werden können.

A_17171 - VPN-Zugangsdienst, IPv6-Adressierung der Nameserver Internet

Der VPN Zugangsdienst MUSS jedem rekursiven Nameserver Internet eine öffentliche IPv6-Adresse zuweisen (Dual-Stack-Mode). Die IPv6-Adressen der Nameserver werden vom Anbieter des VPN-Zugangsdienstes zur Verfügung gestellt.
[<=]

A_17173 - VPN-Zugangsdienst, IPv6 Resource Records im Nameserver Internet

Der VPN Zugangsdienst MUSS in den autoritativen Nameservern Internet die weiteren Resource Records gemäß Tabelle Tab_ZD_Nameserver_Int_RR_IPv6 verwalten.

Tabelle 3: Tab_ZD_Nameserver_Int_RR_IPv6

A_17180 - VPN-Zugangsdienst, IPv6-Adressierung Registrierungsserver

Der VPN-Zugangsdienst MUSS jedem Registrierungsserver eine öffentliche IPv6-Adresse zuweisen (Dual-Stack-Mode). Die öffentlichen IPv6-Adressen der Registrierungsserver werden vom Anbieter des VPN-Zugangsdienstes zur Verfügung gestellt.
[<=]

A_17181 - VPN-Zugangsdienst, IPv6-Adressierung der Internetschnittstellen der VPN-Konzentratoren

Der VPN-Zugangsdienst MUSS jedem VPN-Konzentrator TI und SIS eine IPv6-Adresse zuweisen (Dual-Stack-Mode). Diese Adresse wird auf der physischen Schnittstelle zum Internet konfiguriert. Die öffentlichen IPv6-Adressen der VPN-Konzentratoren TI und SIS werden vom Anbieter des VPN-Zugangsdienstes zur Verfügung gestellt.
[<=]

TIP1-A_4369 - VPN-Zugangsdienst, Festlegung der Schnittstellen

Der Produkttyp VPN-Zugangsdienst MUSS die Schnittstellen gemäß Tabelle Tab_PT_VPN-Zugangsdienst_Schnittstellen implementieren („bereitgestellte“ Schnittstellen) und nutzen („benötigte“ Schnittstellen).

Tabelle 4: Tab_PT_VPN-Zugangsdienst_Schnittstellen

TIP1-A_4370 - VPN-Zugangsdienst, Schnittstelle I_Secure_Channel_Tunnel

Der VPN-Zugangsdienst MUSS für Konnektoren die Schnittstelle I_Secure_Channel_Tunnel gemäß Tabelle Tab_ZD_Schnittstelle_I_Secure_Channel_Tunnel anbieten.

Tabelle 5: Tab_ZD_Schnittstelle_I_Secure_Channel_Tunnel

TIP1-A_4371 - VPN-Zugangsdienst, Identität zur Authentisierung des VPN-Konzentrators TI beim Konnektor

Der VPN-Konzentrator MUSS zur Identifizierung beim Konnektor für den Zugang zur TI die Identität ID.VPNK.VPN benutzen.

TIP1-A_4372 - VPN-Zugangsdienst, Ablauf des IPsec-Verbindungsaufbaus zur TI

Der VPN-Zugangsdienst MUSS beim vom Konnektor initiierten Verbindungsaufbau in die TI gemäß [RFC 7296] vorgehen und dabei folgende Ablaufschritte implementieren.

• Der VPN-Konzentrator TI empfängt vom Konnektor das Zertifikat C.NK.VPN. Wird vom Konnektor das hash&URL-Verfahren für die Übermittlung der Referenz seines Zertifikates C.NK.VPN genutzt, muss dieses Zertifikat vom hash&URL-Server des VPN-Zugangsdienstes per HTTP-Download bezogen werden.
  
• Das Zertifikat C.NK.VPN wird gemäß [gemSpec_PKI#TUC_PKI_018] mit Prüfmodus OCSP geprüft.
  
• Wenn das Zertifikat C.NK.VPN nicht gültig ist, wird der Verbindungsaufbau mit einer Fehlermeldung gemäß [RFC 7296] abgebrochen.
  
• Der VPN-Konzentrator authentisiert sich beim Konnektor mit seinem Zertifikat C.VPNK.VPN.
  
• Der VPN-Konzentrator erzeugt aus Aussteller und Seriennummer des Zertifikats einen Benutzernamen und sendet ihn an den Autorisierungsserver.
  
• Über den Autorisierungsserver wird geprüft, ob bereits ein Benutzerkonto für den Benutzernamen besteht. Der VPN-Konzentrator TI muss dem Konnektor auf der Grundlage seines Registrierungsstatus eine IP-basierte Zugangskontrollliste (ACL) zuweisen.
  
• Wenn kein Benutzerkonto besteht MUSS der VPN-Verbindungsaufbau abgebrochen werden.
  
• Wenn ein Benutzerkonto besteht, wird der Zugang zum Zentralen Netz der TI freigeschaltet.
  
• Der VPN-Konzentrator weist dem Konnektor eine Adresse aus dem Adressraum TI_Dezentral zu. Die Adresse wird als innere Adresse des IPsec-Tunnels verwendet.
  

TIP1-A_4373 - Konnektor, TUC_VPN-ZD_0001 “IPsec-Tunnel TI aufbauen”

Der Konnektor MUSS den technischen Use Case TUC_VPN-ZD_0001 “IPsec-Tunnel TI aufbauen” gemäß Tabelle Tab_ZD_TUC_IPsec_Tunnel_TI_aufbauen umsetzen.

Tabelle 6: Tab_ZD_TUC_IPsec_Tunnel_TI_aufbauen

TIP1-A_4374 - VPN-Zugangsdienst, Verbindungsaufbau

Der Konnektor MUSS die IKEv2-Verbindung aufbauen, d.h. der Konnektor ist der Initiator.

TIP1-A_4375 - VPN-Zugangsdienst, Verhalten bei Verbindungsabbau

Der Konnektor MUSS, sobald ein Verbindungsabbau erkannt wird, den IPsec-Tunnel mittels IKEv2 unverzüglich neu herstellen.

TIP1-A_4376 - VPN-Zugangsdienst, Auswahl des VPN-Konzentrators aufgrund von SRV-Records

Der Konnektor MUSS im Rahmen des Verbindungsaufbaus zur TI oder zum SIS die SRV-Records des VPN-Zugangsdienstes heranziehen. Bei der Auswahl des zu kontaktierenden VPN-Konzentrators MUSS er sowohl die Priorität als auch die Gewichtung der SRV-Records gemäß [RFC2782#S.3ff.] berücksichtigen. Die DNS TTL MUSS beachtet werden.

TIP1-A_4377 - VPN-Zugangsdienst, Namensauflösung

Der Konnektor MUSS die Address-Records des VPN-Zugangsdienstes bei jedem Verbindungsaufbau durch eine DNS-Anfrage auflösen. Die DNS TTL MUSS beachtet werden.

TIP1-A_4492 - VPN-Zugangsdienst, Zuweisung der Adressen, Verhinderung der Profilbildung

Der Anbieter des VPN-Zugangsdienstes DARF die IP-Adressen aus dem Adressraum TI_Dezentral NICHT bestimmten Kunden fest zuweisen. Beim Neuaufbau eines Tunnels MUSS dem Konnektor jeweils eine beliebige Adresse aus dem Adress-Pool des VPN-Konzentrators zugewiesen werden.

TIP1-A_4387 - VPN-Zugangsdienst, Adressblöcke für VPN-Konzentratoren

Der Anbieter des VPN-Zugangsdienstes MUSS für den Betrieb des Dienstes einen Adressblock in der erforderlichen Größe vom Anbieter des Zentralen Netzes der TI anfordern.

TIP1-A_4389 - VPN-Zugangsdienst, I_Secure_Channel_Tunnel::disconnect

Der VPN-Zugangsdienst MUSS für Konnektoren an der Schnittstelle I_Secure_Channel_Tunnel die Operation disconnect zum kontrollierten Trennen der IPsec-Verbindung gemäß [RFC 7296#1.4.1. Deleting an SA with INFORMATIONAL Exchanges] anbieten.
[<=]

TIP1-A_4394 - VPN-Zugangsdienst, Schnittstelle I_Secure_Internet_Tunnel

Der VPN-Zugangsdienst MUSS für Konnektoren die Schnittstelle I_Secure_Internet_Tunnel gemäß Tabelle Tab_ZD_Schnittstelle_I_Secure_Internet_Tunnel anbieten.

Tabelle 7: Tab_ZD_Schnittstelle_I_Secure_Internet_Tunnel

TIP1-A_4395 - VPN-Zugangsdienst, Identität zur Authentisierung des VPN-Konzentrators SIS beim Konnektor

Der VPN-Konzentrator MUSS zur Identifizierung beim Konnektor für den Zugang die Identität ID.VPNK.VPN-SIS benutzen.

TIP1-A_4396 - VPN-Zugangsdienst, Ablauf des IPsec-Verbindungsaufbaus Richtung Internet

Der VPN-Zugangsdienst MUSS beim vom Konnektor initiierten Verbindungsaufbau Richtung SIS gemäß [RFC7296] vorgehen und dabei folgende Ablaufschritte implementieren.

• Der VPN-Konzentrator SIS empfängt vom Konnektor das Zertifikat C.NK.VPN. Wird vom Konnektor das hash&URL-Verfahren für die Übermittlung der Referenz seines Zertifikates C.NK.VPN genutzt, muss dieses Zertifikat vom hash&URL-Server des VPN-Zugangsdienstes per HTTP-Download bezogen werden.
  
• Das Zertifikat C.NK.VPN wird gemäß gemSpec_PKI#TUC_PKI_018 mit Offline-Modus = ja geprüft.
  
• Wenn das Zertifikat C.NK.VPN nicht gültig ist, wird der Verbindungsaufbau mit einer Fehlermeldung gemäß [RFC 7296] abgebrochen.
  
• Der VPN-Konzentrator authentisiert sich beim Konnektor mit seinem Zertifikat C.VPNK.VPN-SIS.
  
• Der VPN-Konzentrator erzeugt aus Aussteller und Seriennummer des Zertifikats einen Benutzernamen und sendet ihn an den Autorisierungsserver.
  
• Über den Autorisierungsserver wird geprüft, ob bereits ein Benutzerkonto für den Benutzernamen besteht. Der VPN-Konzentrator SIS muss dem Konnektor auf der Grundlage seines Registrierungsstatus eine IP-basierte Zugangskontrollliste (ACL) zuweisen.
  
• Wenn kein Benutzerkonto besteht, wird der Verbindungsaufbau mit einer Fehlermeldung gemäß [RFC 7296] abgebrochen.
  
• Wenn ein Benutzerkonto besteht, wird der Zugang im Internet über den SIS freigeschaltet.
  
• Der VPN-Konzentrator weist dem Konnektor eine Adresse aus dem Adressraum TI_Dezentral zu. Die Adresse wird als innere Adresse des IPsec-Tunnels verwendet.
  

TIP1-A_4397 - Konnektor, TUC_VPN-ZD_0002 “IPsec Tunnel SIS aufbauen”

Der Konnektor MUSS den technischen Use Case TUC_VPN-ZD_0002 “IPsec-Tunnel SIS aufbauen” gemäß Tabelle Tab_ZD_TUC_IPsec_Tunnel_SIS_aufbauen umsetzen.

Tabelle 8: Tab_ZD_TUC_IPsec_Tunnel_SIS_aufbauen

TIP1-A_4398 - VPN-Zugangsdienst, I_Secure_Internet_Tunnel::disconnect

Der VPN-Zugangsdienst MUSS an der Schnittstelle I_Secure_Internet_Tunnel die Operation disconnect zum kontrollierten Trennen der IPsec-Verbindung gemäß [RFC7296] anbieten.
[<=]

TIP1-A_5118-01 - VPN-Zugangsdienst, Schnittstelle I_Registration_Service

Der VPN-Zugangsdienst MUSS für Konnektoren die Schnittstelle I_Registration_Service gemäß Tabelle Tab_ZD_Schnittstelle_I_Registration_Service anbieten.

Tabelle 9: Tab_ZD_Schnittstelle_I_Registration_Service

A_14646 - VPN-Zugangsdienst, kryptographischen Vorgaben für den Registrierungsserver

Der VPN-Zugangsdienst DARF bei der Signaturprüfung der  SOAP-Requests der Operationen registerKonnektor und deregisterKonnektor NICHT XAdES-spezifische  Signatureigenschaften voraussetzen. [<=]

A_17288 - VPN-Zugangsdienst, Unterstützung der kryptographischen Vorgaben

Der VPN-Zugangsdienst MUSS die kryptografischen Vorgaben für ECC-basierte und RSA-basierte Signaturverfahren gemäß [gemSpec_Krypt] unterstützen.
[<=]

TIP1-A_4390 - VPN-Zugangsdienst und Konnektor, Operation registerKonnektor

Der VPN-Zugangsdienst MUSS für Konnektoren an der Schnittstelle I_Registration_Service die Operation registerKonnektor gemäß Tabelle Tab_ZD_registerKonnektor anbieten.

Tabelle 10: Tab_ZD_registerKonnektor

TIP1-A_4495 - VPN-Zugangsdienst, Nutzung der ContractID

Der Anbieter des VPN-Zugangsdienstes MUSS in seinem Registrierungsprozess vorsehen, dass eine ContractID zur Registrierung und Deregistrierung des Konnektors verwendet wird.

Die ContractID muss für die Dauer des Vertrages konstant sein.

Der sichere Umgang mit der ContractID MUSS im Sicherheitskonzept nachgewiesen werden.

A_14623 - VPN-Zugangsdienst, Zeichensatz der ContractID

Der VPN-Zugangsdienst MUSS die ContractID ausschließlich aus folgender Teilmenge des ASCII-Zeichensatzes bilden:

• ABCDEFGHIJKLMNOPQRSTUVWXYZ
• abcdefghijklmnopqrstuvwxyz
• 0123456789
• %()=!?+-*/#_@:.

TIP1-A_5074 - VPN-Zugangsdienst, Einhaltung des Datenschutzes bei Protokollierung

Der Anbieter des VPN-Zugangsdienstes MUSS unter Berücksichtigung des Art. 25 Abs. 2 DSGVO sicherstellen, dass die Daten aus dem SOAP-Request „registerKonnektorRequest“ nur für den Zweck der Registrierung von Konnektoren und der Missbrauchserkennung für die Dauer der Vertragslaufzeit verwendet werden.
[<=]

A_22543-01 - VPN-Zugangsdienst, Anzahl der Zertifikate pro ContractID im Registrierungsserver

Der VPN-Zugangsdienst MUSS die Registrierung von mindestens vier Zertifikaten eines Konnektors pro ContractID unterstützen.
[<=]

TIP1-A_4391 - VPN-Zugangsdienst und Konnektor, Operation deregisterKonnektor

Der VPN-Zugangsdienst MUSS für Konnektoren an der Schnittstelle I_Registration_Service die Operation deregisterKonnektor gemäß Tabelle Tab_ZD_deregisterKonnektor anbieten.

Tabelle 11: Tab_ZD_deregisterKonnektor

TIP1-A_4392 - VPN-Zugangsdienst und Konnektor, Operation registerStatus

Der VPN-Zugangsdienst MUSS für Konnektoren an der Schnittstelle I_Registration_Service die Operation registerStatus gemäß Tabelle Tab_ZD_registerStatus anbieten.

Tabelle 12: Tab_ZD_registerStatus

A_21159-01 - VPN-Zugangsdienst, Operation sendData

Der VPN-Zugangsdienst MUSS an der Schnittstelle I_Registration_Service die Operation sendData gemäß Tabelle Tab_ZD_sendData anbieten.

Tabelle 13 : Tab_ZD_sendData

A_21611-01 - VPN-Zugangsdienst, Informationspflicht zu Anbieter VPN-Zugangsdienst

Der VPN-Zugangsdienst MUSS über ihn angebundene Anbieter VPN-Zugangsdienste innerhalb von fünf Werktagen schriftlich informieren, wenn die vom Konnektor übermittelten Betriebsdaten oder die vom KSR bereitgestellten Lokalisierungsdaten ergeben, dass:

• die Produktversion des Konnektors nicht mehr zugelassen ist
• für seinen Konnektor eine neue Firmewareversion vorliegt, die vom Konnektor nicht automatisch installiert wird
• an den Konnektor Kartenterminals angeschlossen sind, die nicht mehr zugelassen sind
• für die an seinem Konnektor angeschlossenen Kartenterminals eine neue Firmewareversion vorliegt, die nicht automatisch installiert wird

A_21161 - Bereitstellung öffentlicher IP-Adressen

Der VPN-Zugangsdienst bzw. der VPN-Zugangsdienst Anbieter MUSS im Rahmen des Security Monitorings entsprechend gemSpec_DS_Anbieter#A_20720 täglich die öffentlichen IP-Adressen seiner Kunden übermitteln. Die öffentlichen IP-Adressen sind separat zu den Betriebsdaten und ohne Verbindung zu anderen personenbezogenen und/oder personenbeziehbaren Daten zu übermitteln. [<=]

A_21339-02 - VPN-Zugangsdienst, Löschung von Betriebsdaten

Der VPN-Zugangsdienst MUSS die empfangenen Betriebsdaten nach spätestens 6 Wochen löschen. Zusammengefasste Auswertungen sind von der Löschpflicht nicht betroffen. Betriebsdaten, die für die Pflichten des Zugangsdienstes nach A_21611-* nicht notwendig sind, MÜSSEN unverzüglich nach Übertragung an die gematik gelöscht werden.
[<=]

A_21612 - Betriebsdaten: Zweckbindung und Weiterleitung

Der VPN-Zugangsdienst DARF die Betriebsdaten NICHT für andere Zwecke verwenden, als in gemKPT_Betriebsdaten_Kon definiert. Der VPN-Zugangsdienst DARF die Betriebsdaten NICHT an jemanden anderen weitegeben, als die gematik. [<=]

A_24322 - VPN-Zugangsdienst:Betriebsdaten - Zuordnung Betriebsstättenart

Der VPN-Zugangsdienst MUSS die Information zur Betriebsstättenart automatisch aus der Profession-OID der SMC-B gemäß gemSpec_OID::GS-A_4443* ermitteln. 
Wenn der VPN-Zugangsdienst die Information automatisch aus der Profession-OID der SMC-B ermittelt, MUSS er folgendes Mapping der Profession-OID auf das Element SiteType aus dem Schema „vpnzugd/OperatingData_vpnzugd_hardened.xsd“ vornehmen:

Tabelle #: TAB_ZD Mapping Profession-OID auf SiteType 

A_21160-02 - Bereitstellung von Betriebsdaten

Der VPN-Zugangsdienst MUSS die vom Konnektor erhaltenen Betriebsdaten, reduziert um die ContractID und den UpdateMode und ergänzt um die Betriebsstättenart, an die Betriebsdatenerfassung gemäß [gemSpec_SST_LD_BD] an die Schnittstelle I_OpsData_Update::contentUploadXML übermitteln. [<=]

A_23105 - VPN-Zugangsdienst: Formatierung der Betriebsdaten des Konnektors

Der VPN-Zugangsdienst MUSS die vom Konnektors erhaltenen Betriebsdaten als XML Content gemäß dem Schema „vpnzugd/OperatingData_vpnzugd_hardened.xsd“ senden. [<=]

A_23106 - VPN-Zugangsdienst: Annotations im XML-Schema der Betriebsdaten des Konnektors

Der VPN-Zugangsdienst MUSS die XML Elemente der vom Konnektors erhaltenen Betriebsdaten gemäß der Annotations im Schema OperatingData_hardened.xsd befüllen. [<=]

TIP1-A_4491-03 - VPN-Zugangsdienst, Registrierungsserver Fehlermeldungen

Der Registrierungsserver des VPN-Zugangsdienstes und der Konnektor MÜSSEN für die Operationen registerKonnektor, deregisterKonnektor, registerStatus und sendData die Fehlermeldungen gemäß Tabelle Tab_Registrierungsserver_Fehlermeldungen implementieren.

Tabelle 15: Tab_Registrierungsserver_Fehlermeldungen

TIP1-A_4497 - VPN-Zugangsdienst, sichere Speicherung des Key Signing Keys des TI Trust Anchors

Die Nameserver im Namensraum TI des VPN-Zugangsdienstes MÜSSEN den Hash des Key Signing Key des TI Trust Anchors in aktueller Version enthalten und sicher speichern. Der Key Signing Key darf dabei nur durch autorisierte Akteure eingebracht werden.
[<=]

TIP1-A_4399 - VPN-Zugangsdienst, Prozess Änderung der Sicherheitsleistungen des SIS

Der Anbieter des VPN-Zugangsdienstes MUSS einen Prozess implementieren, der die Änderung von Sicherheitsleistungen des Secure Internet Service durch den GBV ermöglicht.

Der Anbieter des VPN-Zugangsdienstes ist der Eigentümer des Prozesses.

TIP1-A_4498 - VPN-Zugangsdienst, Prozess Abschluss, Ändern und Auflösen des Vertragsverhältnisses sowie Deregistrierung von Konnektoren

Der Anbieter des VPN-Zugangsdienstes MUSS einen Prozess implementieren, der es berechtigten Teilnehmern ermöglicht, mit dem Anbieter des VPN-Zugangsdienstes einen Vertrag abzuschließen, zu ändern oder aufzulösen um Zugang zur TI inklusive Bestandsnetze sowie Zugang zum sicheren Internetanschluss zu erhalten.
Zusätzlich MUSS dieser Prozess ermöglichen, dass Konnektoren deregistriert werden können.
Der Anbieter des VPN-Zugangsdienstes ist der Owner des Prozesses.
Vertragsdaten MÜSSEN bei Vertragsende nach Ablauf der gesetzlichen Aufbewahrungsfristen gelöscht werden.
[<=]

TIP1-A_5105 - VPN-Zugangsdienst, Konfigurationsdaten zur Übergabe bei Vertragsabschluss

Der Anbieter des VPN-Zugangsdienstes MUSS die Daten gemäß Tab_ZD_Konfigurationsdaten_bei_Vertragsabschluss im Rahmen des Vertragsabschlusses an den jeweiligen berechtigten Teilnehmer übergeben.

Tabelle 16: Tab_ZD_Konfigurationsdaten_bei_Vertragsabschluss